CVE-2026-48838
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W wersjach Post SMTP <= 3.6.2 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników lub przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Post SMTP, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w Post SMTP
Zobacz wszystkie- CVE-2026-81278Średnie
Podatność Missing Authorization w Post SMTP od wersji 4.0.0 do beta.1. Pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-67563Średnie
Wtyczka Post SMTP autorstwa Saad Iqbal jest podatna na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.6.1 włącznie.
- CVE-2025-12887Średnie
Wtyczka Post SMTP dla WordPressa w wersjach do 3.6.1 włącznie jest podatna na obejście autoryzacji. Funkcja 'handle_gmail_oauth_redirect' nie weryfikuje poprawnie uprawnień użytkownika do aktualizacji tokenów OAuth, co pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wstrzyknąć nieprawidłowe lub kontrolowane przez atakującego poświadczenia OAuth.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Post SMTP <= 3.6.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS